regsvs.exe (Webで検索)
|
危険説明 |
W32.Gaobot.YN は、 W32.HLLW.Gaobot.gen の亜種です。 このワームは、ネットワーク共有を介して拡散を試み、攻撃者が IRC チャネルを介して感染先のコンピュータにアクセスできるようにします。 当該ワームは、次の複数の脆弱性を利用して感染を広げます TCP ポート 135 を使って DCOM RPC の脆弱性 (マイクロソフトセキュリティ情報 MS03-026 参照) を悪用します。TCP ポート 445 を使って RPC locator の脆弱性 (マイクロソフトセキュリティ情報 MS03-001 参照) を悪用します。 TCP ポート 80 を使って WebDav の脆弱性 (マイクロソフトセキュリティ情報 MS03-007 参照) を悪用します。 オーソライズされないリモート アクセスを許可します。 複数の人気のあるコンピュータ ゲームの CD キーを盗難します。 アンチウイルスやファイアウォールに関連したプロセスを終了しようとします。 脆弱なパスワードをもつアカウントや DCOM RPC の脆弱性あるいは RPC locator の脆弱性をパッチしてないシステムに感染します。 %System%regsvs.exe として自身をコピーします。 攻撃者に接続するために、TCP ポートをランダムに選択して開きます。 独自の IRC クライアントを使用して事前に定義済みの IRC チャネルに接続し、攻撃者からのコマンドを待機します。 攻撃者は感染コンピュータをリモート コントロールでき、以下の行動をとることができます。 - ワームのインストール管理 - インストールされたワームの動的な更新 - ファイルのダウンロードおよび実行 - 感染先システムの情報を盗む - ワームを他の IRC ユーザに送信 - 新規アカウントの追加 |
追加/変更される値 |
\"Compatibility Service Process\" = \"regsvs.exe\" を以下のレジストリ キーに追加します: HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run |
削除方法 |
RegRun Startup Optimizer を使用してスタートアップから削除してください。 |
補足
|
[RegRun Startup Optimizerを使って]という記述は、Greatis Software社のRegRun製品の一部の機能です。削除のために特に本ツールを使う必要はありません。レジストリエディタ(Regedit)など、Windowsのスタートアップ エントリに登録されたプログラムを削除できるツールを使うことで除去が可能です。または、HijackThis, XRayPCなども同様の機能を提供しています。 |
MD5チェックサム |
|
最終変更日 |
2006/02/10 (Fri) |
Powered by 